Un coffre-fort de cartes est un système hors site sécurisé qui stocke des identifiants de paiement sensibles au nom d'une entreprise. Au lieu de ces identifiants, l'entreprise reçoit un jeton : un substitut qui comporte beaucoup moins de risques s'il est divulgué, mais qui permet tout de même à l'entreprise de débiter ce client à nouveau ou de réessayer un paiement échoué au besoin. L'utilisation des jetons croît rapidement. Au cours des cinq prochaines années, le nombre de transactions tokenisées sur le réseau dans le monde devrait connaître un taux de croissance annuel composé (TCAC) de 18,1 %.

Ci-dessous, nous examinerons comment un coffre-fort stocke et protège réellement les données de carte, ce qu'il fait pour la conformité à la norme de sécurité des données de l'industrie des cartes de paiement (PCI DSS) et la conversion, et en quoi il diffère de la tokenisation qu'un prestataire de services de paiement effectue déjà par lui-même.

Principaux points à retenir

• Un coffre-fort de cartes remplace les numéros de carte sauvegardés par des jetons afin qu'une violation des systèmes de l'entreprise n'expose rien qu'un acteur frauduleux pourrait utiliser pour effectuer une transaction avec succès.

• L'utilisation d'un coffre-fort raccourcit généralement l'évaluation PCI DSS d'une entreprise et prend en charge les abonnements par carte enregistrée, les nouvelles tentatives de paiement et la capacité d'acheminement vers plusieurs sous-traitants (de/des données).

• Les jetons émis par le sous-traitant (de/des données) sont généralement verrouillés sur ce seul prestataire, tandis qu'un coffre-fort dédié permet à une entreprise de déplacer ses identifiants sauvegardés là où elle en a besoin.

Qu'est-ce qu'un coffre-fort de cartes ?

Un coffre-fort de cartes est un système hors site sécurisé qui stocke des identifiants de paiement sensibles tels que des numéros de carte et des informations de compte bancaire au nom d'une entreprise. Ces identifiants ne touchent jamais les propres serveurs de l'entreprise. Lorsqu'un client saisit sa carte lors du paiement, le coffre-fort capture le numéro, le chiffre et renvoie un jeton que l'entreprise utilise pour chaque transaction par la suite.

Comment un coffre-fort de paiement stocke-t-il et protège-t-il les données de carte?

La tâche principale d'un coffre-fort est de conserver le numéro brut de la carte séparé de tout le reste dans les systèmes d'une entreprise.

Voici comment cela fonctionne :

• Chiffrement à la capture : Le numéro de la carte est chiffré lorsqu'il entre dans le coffre-fort, avant d'être écrit sur le disque, ce qui signifie qu'aucune version en texte clair du numéro n'existe jamais dans l'environnement de l'entreprise.

• Jetonisation : Le coffre-fort génère un jeton – une chaîne de caractères sans lien mathématique avec le vrai numéro de carte – et renvoie ce jeton à l'entreprise pour qu'elle l'utilise pour toute référence future à la transaction.

• Mappage des jetons : Seul le coffre-fort détient le mappage entre le jeton et la carte. La propre base de données de l'entreprise, la gestion de la relation client (CRM) et les outils du service d'assistance ne voient que le jeton, ce qui signifie qu'une faille de leur côté n'expose rien qu'un acteur frauduleux pourrait utiliser pour effectuer une transaction avec succès.

• Contrôles d'accès et journaux : Le coffre-fort restreint et consigne dans les journaux chaque requête visant à déjetoniser une carte. Même un membre du personnel ayant accès au système ne peut extraire un numéro brut sans une raison précise et vérifiée.

• Traitement du CVV : Les règles du réseau n'autorisent pas les coffres-forts à stocker la valeur de vérification de la carte (CVV) après l'autorisation. Elle doit être recueillie à nouveau chaque fois qu'une transaction le requiert.

• Jetonisation du réseau : Certains coffres-forts fonctionnent également avec des jetons émis par le réseau, qui se mettent à jour automatiquement lorsqu'une carte est réémise après une perte ou une expiration ; ceux-ci réduisent le nombre de paiements qui échouent en raison d'informations de carte expirées ou invalides.

Quels sont les avantages de l'utilisation d'un coffre-fort de cartes ?

Les coffres-forts de cartes permettent de réduire le fardeau de conformité. Si une entreprise ne stocke, ne traite ou ne transmet jamais de données de carte brutes sur ses propres systèmes, elle est généralement admissible à un questionnaire d'auto-évaluation (SAQ) PCI DSS plus court au lieu de la version complète exigée des entreprises qui gèrent directement les données des titulaires de carte. Cela signifie moins de contrôles de sécurité à maintenir et moins de temps consacré à prouver la conformité chaque année.

Au-delà de cela, un coffre-fort ouvre la voie aux pratiques suivantes :

• Abonnements avec carte enregistrée : une entreprise peut facturer un client chaque mois sans lui demander de saisir à nouveau une carte, car le jeton, et non la carte elle-même, est utilisé pour toutes les transactions après la première.

• Logique de nouvelle tentative pour les paiements échoués : lorsqu'une transaction échoue, l'entreprise peut réessayer avec le même jeton sauvegardé, souvent après qu'un jeton de réseau a déjà été mis à jour en arrière-plan avec une nouvelle date d'expiration ou un nouveau numéro de carte.

• Acheminement vers plusieurs prestataires : parce que le coffre-fort n'appartient à aucun sous-traitant (de/des données) unique, une entreprise peut envoyer le même jeton sauvegardé à différents prestataires pour comparer les taux d'autorisation ou ajouter une couverture de secours si l'un d'eux subit une panne.

• Paiement plus rapide pour les clients fidèles : une fois qu'une carte est placée dans le coffre-fort, un client fidèle peut effectuer un achat sans rien taper, ce qui peut faciliter la conversion lors du paiement.

En quoi un coffre-fort de cartes diffère-t-il de la tokenisation du sous-traitant (de/des données) ?

Les jetons émis par un prestataire de services de paiement sont généralement verrouillés sur les systèmes de ce prestataire, ce qui signifie qu'un jeton donné ne fonctionne généralement que pour des transactions futures via ce même prestataire. Si la carte est redirigée ailleurs, l'entreprise doit la collecter à nouveau ou demander au client de la saisir une nouvelle fois.

Un coffre-fort de cartes dédié supprime cette contrainte. L'entreprise sauvegarde la carte une seule fois dans un environnement qu'elle contrôle, puis transfère l'identifiant sous-jacent, ou un jeton de réseau qui en est dérivé, au sous-traitant (de/des données) adapté à une transaction donnée. Le coût, les taux d'autorisation, l'emplacement géographique et les pannes entrent tous en ligne de compte dans cette décision d'acheminement, ce qui n'est pas possible lorsque le jeton n'existe que dans le système fermé d'un seul sous-traitant (de/des données).

Une entreprise qui teste deux sous-traitants (de/des données) simultanément sans coffre-fort a besoin de deux ensembles distincts de cartes sauvegardées, conservés dans deux systèmes séparés, qui s'ignorent l'un l'autre. Avec un coffre-fort, un seul identifiant sauvegardé peut se déplacer entre les systèmes sans jamais être bloqué dans le format de jeton exclusif d'aucun des prestataires.

Quels sont les risques et les limites d'un coffre-fort de cartes ?

Bien que les coffres-forts de cartes allègent le fardeau de conformité d'une entreprise, certaines limites réelles s'appliquent tout de même. Le coffre-fort lui-même peut devenir une cible. Étant donné que les informations de carte de chaque client sont centralisées au même endroit, une attaque réussie sur le coffre-fort a des conséquences démesurées. De plus, la portabilité n'est pas acquise. Le transfert d'un identifiant sauvegardé entre sous-traitants (de/des données) nécessite que le coffre-fort et le sous-traitant (de/des données) récepteur prennent en charge un format commun pour le transfert, qu'il s'agisse d'un identifiant chiffré, d'un jeton de réseau ou d'une API conçue spécialement pour le transfert.

L'intégration demande également du temps d'ingénierie. Une entreprise qui adopte un coffre-fort doit reconstruire son processus de paiement, sa logique de facturation des abonnements et ses systèmes de rapprochement autour des jetons au lieu des numéros de carte bruts. Et bien qu'un coffre-fort réduise la portée de la conformité PCI DSS, les entreprises ont toujours besoin de politiques couvrant la transmission sécurisée lors de la capture, l'accès des employés aux outils d'administration du coffre-fort et la propre posture de conformité de leur fournisseur.

Comment savoir si un coffre-fort de cartes convient à votre entreprise ?

Les paiements récurrents sont le signe le plus clair qu'un coffre-fort de cartes convient à votre entreprise. Une entreprise qui n'effectue que des paiements ponctuels et n'a jamais besoin de débiter un client à nouveau pourrait ne pas avoir besoin de l'infrastructure ajoutée par un coffre-fort. Les entreprises proposant des abonnements, les places de marché émettant des virements et toute entreprise qui réessaie des paiements échoués ont tendance à tirer le meilleur parti d'un coffre-fort.

La flexibilité du sous-traitant (de/des données) est un autre signe. Une entreprise satisfaite d'effectuer chaque transaction via un seul prestataire indéfiniment n'a pas besoin de portabilité, mais une entreprise qui souhaite comparer les taux d'autorisation entre sous-traitants (de/des données), ajouter un prestataire de secours ou négocier les conditions sans collecter à nouveau les informations de carte de chaque client en tirerait profit.

L'API Vault and Forward de Stripe est conçue exactement pour ce cas d'usage. Elle permet à une entreprise de sauvegarder des modes de paiement, puis utilise l'API pour envoyer ces identifiants sauvegardés à un sous-traitant (de/des données) tiers ou au point de terminaison de son choix.

Comment Stripe Payments peut vous aider

Stripe Payments propose une solution de paiement unifiée et mondiale adaptée à toutes les entreprises, des jeunes entreprises aux grands groupes. Elle permet d’accepter des paiements en ligne et en personne, partout dans le monde.

Stripe Payments peut vous aider à :

• Optimiser votre processus de paiement : créez une expérience client sans friction et économisez du temps d'ingénierie avec des interfaces de paiement préconçues, l'accès à plus de 125 modes de paiement et Link, un portefeuille numérique conçu par Stripe.

• Pénétrer plus rapidement de nouveaux marchés : touchez des clients dans le monde entier grâce aux options de paiement transfrontalier. Réduisez la complexité et le coût de la gestion multidevises dans 195 pays et plus de 135 devises.

• Unifier les paiements en personne et en ligne : créez une expérience de commerce unifiée sur les canaux en ligne et en personne pour personnaliser les interactions, récompenser la fidélité et augmenter les revenus.

• Améliorer la performance des paiements : augmentez vos revenus grâce à une gamme d’outils de paiement personnalisables et faciles à configurer, y compris une protection contre la fraude sans codage et des fonctionnalités avancées pour améliorer les taux d’autorisation.

• Avancer plus rapidement grâce à une plateforme flexible et fiable pour soutenir votre croissance : appuyez-vous sur une plateforme conçue pour se développer avec vous, offrant un taux de disponibilité historique de 99,999 % et une fiabilité à la pointe du secteur.

Découvrez comment Stripe Payments peut propulser vos paiements en ligne et en personne ou commencez dès aujourd’hui.